XBOW 用 GPT-5.6 六天拼出 Chrome 全链利用，拿下谷歌 25 万美元满额赏金
XBOW 智能体用 gpt-5.6-sol 花六天把三个 Chrome 漏洞拼成完整攻击链，约 4 万美元 API 开销拿下谷歌新规首笔 25 万美元赏金。
自动化攻击性安全平台 XBOW 在 2026 年 10 月 13 日的官方复盘中给出了一组可以核对的数字：8 月 2 日至 7 日，六天，其智能体用 OpenAI 的 gpt-5.6-sol 模型把三个此前未知的 Chrome 漏洞串成一条完整利用链，从加载一个网页一路走到沙箱之外弹出 Windows 计算器。这条链拿下谷歌 Chrome 漏洞奖励计划（VRP）25 万美元满额赏金，是谷歌 2026 年 4 月新规生效以来的第一笔满额全链奖励；XBOW 估算整次行动的 API 开销约 4 万美元。据 AFP 通稿，漏洞已由谷歌全部修复，修复前这一漏洞类影响全球约十亿 Windows Chrome 用户。
要点
- 攻击工作在 8 月 2 日至 7 日完成，10 月 13 日才随官方复盘公布；谷歌已复现、确认并修复全部三个漏洞，漏洞从未被用于攻击真实用户。
- 全链三段：V8 Maglev 去优化缺陷拿到引擎内读写原语；动画 WebP 解码器 TOCTOU（CVE-2026-85045）逃出 V8 沙箱；Crashpad 竞争条件（CVE-2026-78952）在渲染器沙箱外执行代码，终点是
cmd /k calc.exe。 - 25 万美元是 2026 年 4 月新规下的首笔满额全链赏金；「约 4 万美元」是 XBOW 依据存档 Codex 日志的自估成本，不是审计数字。
背景
这 25 万美元从哪来：谷歌在 2026 年 4 月引入新的 Chrome VRP 规则，「完整利用链」赏金定为 25 万美元。按 XBOW 官方博客的说法，这是新规生效以来付出的第一笔满额全链奖励；daily.dev 的分析补了一层背景——这也是 Chrome 历史上第二笔该规模的全链赏金，两笔都归 XBOW。上一笔的首次提交用了约 2 个月，这一次压到了 6 天。博客里引述的对照更直观：前 LLM 时代，同等复杂度的 Chrome 全链大约需要四人团队做上 6 到 9 个月。
赏金经济的另一面十月初刚发生过：谷歌以自动化无效报告过多为由，自 10 月 1 日起冻结了 OSS 漏洞奖励计划的产品漏洞通道（见 Google 冻结开源赏金）。同一个十月，AI 在一头挤爆赏金计划的收件箱，在另一头拿走最高档奖金。
事实部分
三个漏洞的分工在官方博客里写得很具体，每一环对应一个独立的 Chromium issue：
| 环节 | 组件 | 缺陷 | 编号 |
|---|---|---|---|
| 引擎内读写 | V8 Maglev 编译器 | 去优化时把可变的 HeapNumber 当常量复用，得到 4 GiB 指针压缩笼内的越界读写 | Chromium issue 547819997 |
| V8 沙箱逃逸 | 动画 WebP 解码器 | 缓存帧几何与转移后 ArrayBuffer 字节错位构成 TOCTOU，换取一次指定地址的 64 位原生写入；CVE-2026-85045 | Chromium issue 548509153 |
| 沙箱外执行 | Crashpad 崩溃处理器 | 对「已冻结」进程读取失败仍假定页面布局稳定，用带 0x42 标志的线程竞争页保护；CVE-2026-78952 | Chromium issue 545820931 |
CVE 号出自 AFP 通稿，issue 编号出自官方博客。触发条件只是加载一个网页，不需要点击或下载；整条链跨过两道沙箱边界。最后一步借崩溃处理器的启动函数把 cmd /k calc.exe 传给 CreateProcessW，计算器就这样弹在了沙箱外面。
人和智能体的分工同样明确：XBOW 的研究员选目标、给上下文、质疑结果、决定哪些组件拼在一起；智能体负责搜源码、验证假设、写概念验证、开发各段利用。工作拆成并行几路——漏洞搜索、V8 内存破坏、V8 沙箱逃逸、渲染器逃逸、整合——每段留了干净的接口和备用路线。第一条链里的 V8 沙箱逃逸撞上了谷歌已知的另一个 bug（issue 542670566），团队换 WebP 路线重做。
成本口径需要钉住：约 4 万美元是 XBOW 依据存档 Codex 日志的自估 API 开销，官方没有公布 token 总量，也没有第三方审计。按 AFP 的说法，赏金将被 XBOW 用于资助 NGO 的安全工作。
各方说法
XBOW 创始人兼 CEO Oege de Moor 在通稿里说：「单独的、甚至可能低危的漏洞，现在可以被串成一条高危利用路径。」他提醒攻击者已经拥有这种速度，防御方需要跟上。OpenAI 网络研究主管 Clint Gibler 的表态偏防守一侧：「我们想帮助更多防御者更快发现并修复关键漏洞。」
社区没有照单全收。daily.dev 的分析汇总了几类质疑：目标由人选、拼装路线由人定，自主性成色几何；4 万美元是否包含失败尝试和死路；面对每六周推一版补丁的 Chrome，同样的预算对「会动的靶子」是否还有效。持怀疑态度者甚至认为人类花 4 千美元也能挖到。对照案例也在：KeyGraph 的智能体 Shannon 用约 3 小时、约 2 美元，在一个个人 Kubernetes 应用里实测复现了 8 个漏洞，含一条偷会话 token 的存储型 XSS 链；另一位从业者的体感是「几天内确实挖到真问题，但分诊才是真正的工作」。
防守侧也在用同一类工具：Anthropic 上周刚把面向开源项目的免费 AI 安全扫描推出来（见 Anthropic 网络防御计划）。7 月还有一份可以对照的基准（与本次事件无关）：据 GBHackers 报道，Hacktron 基准中的 GPT-5.6 Sol Ultra 在已知且已修补的 Chrome 漏洞上，用 3 天、约 21 亿 token、1,596.89 美元独立复现了一条渲染器全链，动用 747 个子代理，终点同样是计算器——只不过这次是 macOS 的。
编辑判断
对写代码和管基础设施的人，这条新闻改写的是账本：单个「可容忍」的低危漏洞，估价得按「可能被自动串进一条链」来算。补丁节奏按六周走，攻击成本按六天算，这个错位以前是理论风险，现在有了标价。
把事件读准同样重要。这不是模型独立挖穿了 Chrome——目标由人选，路线由人定，第一条链还撞上了谷歌已知的 bug；4 万美元是自估，口径不明。能确认的是一件更窄但足够要紧的事：在一个十亿用户级的成熟目标上，一个人加六天智能体，交付了满额赏金级的完整链条。
还没答案的问题：同样的预算对持续打补丁的目标是否仍有效，谷歌评审侧为此花了多少成本，token 账单到底多大。XBOW 在博客结尾只留了一句：「Defend accordingly.」（照此设防。）